AddScript
Các nhà khai thác PUP (Chương trình Không mong muốn Tiềm năng) và các tác nhân đe dọa tiếp tục dựa vào họ tiện ích mở rộng trình duyệt AddScript làm nguồn cho các ứng dụng xâm nhập mới. Các ứng dụng AddScript đầu tiên đã được xác định bởi các nhà nghiên cứu an ninh mạng vào năm 2019 và kể từ đó họ vẫn hoạt động khá tích cực. Thông tin chi tiết về nhóm ứng dụng cụ thể này và phần mềm quảng cáo nói chung và các hoạt động tiện ích mở rộng có hại cho trình duyệt đã được các chuyên gia về phần mềm độc hại phát hành.
Theo các nhà nghiên cứu, các ứng dụng AddScript chủ yếu được phát tán dưới vỏ bọc của các công cụ truyền thông hữu ích. Cụ thể hơn, họ hứa hẹn với người dùng khả năng tải xuống nội dung âm thanh và video đã chọn từ nhiều nguồn khác nhau, chẳng hạn như mạng xã hội. Một vai trò phổ biến khác được thấy trong các ứng dụng AddScript là của các trình quản lý proxy. Một đặc điểm quan trọng của nhóm mối đe dọa này là các thành viên của nó hầu như luôn có khả năng thực hiện các chức năng đã hứa, như một cách để không gây ra bất kỳ nghi ngờ nào và đảm bảo rằng người dùng sẽ không xóa chúng. Các ứng dụng được xác nhận là thuộc họ này bao gồm Y2Mate - Trình tải xuống video, trình trợ giúp SaveFrom.net , trình trợ giúp proxy friGate3, v.v.
Tuy nhiên, trong nền của hệ thống, tiện ích mở rộng AddScript sẽ tiến hành thực hiện các mục tiêu bất chính của nó. Đầu tiên, ứng dụng sẽ liên hệ với một URL được mã hóa cứng thuộc máy chủ Command-and-Control (C2, C&C) của nó. Sau khi thiết lập kết nối với C2, phần mở rộng AddScript sẽ tìm nạp một JavaScript bị hỏng và sau đó thực thi nó một cách im lặng. Một dấu hiệu có thể xảy ra của các hoạt động bí mật mà người dùng có thể nhận thấy là sự gia tăng bất thường trong việc tiêu thụ tài nguyên CPU.
Các chức năng chính xác của mã được phân phối có thể khác nhau, dựa trên sơ đồ cụ thể mà các nhà khai thác ứng dụng đang chạy. Ví dụ: tiện ích mở rộng AddScript có thể chạy video trong các tab được mở trong trình duyệt của người dùng để tạo ra lợi nhuận dựa trên 'lượt xem' được cho là. Một khả năng khác là ứng dụng xâm nhập thực hiện một kế hoạch được gọi là 'nhồi cookie' / 'giảm cookie.' Nó liên quan đến việc triển khai cookie liên kết trên thiết bị bị ảnh hưởng. Sau đó, những kẻ lừa đảo có thể yêu cầu hoa hồng cho các giao dịch giả mạo và lưu lượng truy cập không xảy ra.
